# Tedarikçi Güvenlik Değerlendirmesi: Verinize Dokunan Firmaları Risk Seviyesine Göre Nasıl Denetlersiniz?

> Tedarikçi güvenlik değerlendirmesi 6 adımda: tedarikçileri risk kademesine ayırın, doğru soruları sorun, kanıtı doğrulayın. Kontrol tablosu ve SSS içeride.

Kaynak: https://digitalbridge.com.tr/blog/tedarikci-bilgi-guvenligi-degerlendirmesi.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-29 · Güncelleme: 2026-10-30

Tedarikçi güvenlik değerlendirmesi, kurumunuzun verisine, sistemlerine ya da tesisine erişen dış firmaların bilgi güvenliği riskini sözleşmeden önce ölçen ve ilişki boyunca izleyen süreçtir. Üçüncü taraf risk yönetiminin (TPRM) temelidir: tedarikçiler risk seviyesine göre kademelenir, her kademeye uygun soru seti ve kanıt istenir, bulgular sözleşmeye ve düzeltme planına bağlanır.

## Kısaca

- Tedarikçi güvenlik değerlendirmesi, verinize ya da sistemlerinize erişen dış firmaların riskini sözleşmeden önce ölçer ve ilişki boyunca izler.
- Verizon'un 2026 DBIR raporuna göre üçüncü tarafın dahil olduğu ihlaller bir yılda %60 artarak tüm ihlallerin %48'ine ulaştı.
- Tedarikçiler kritik, yüksek, orta ve düşük kademeye ayrılır; soru setinin derinliği ve yeniden değerlendirme sıklığı kademeye göre belirlenir.
- Anket yanıtları beyanla bırakılmaz; politika belgesi, MFA yapılandırma kanıtı ya da geri yükleme testi kaydıyla doğrulanır.
- KVKK'nın 12. maddesine göre veri sorumlusu, kendi adına veri işleyen tedarikçinin güvenlik tedbirlerinden onunla birlikte sorumludur.

## Tedarikçi güvenlik değerlendirmesi neden gerekli? Tedarikçiler saldırı yüzeyinizin parçası

Tedarikçi riskinin ne kadar geniş olduğunu görmek için orta ölçekli bir şirketin tedarikçi listesine bakın: bordroyu hazırlayan müşavir, ERP'ye bakım veren yazılım evi, CRM için kullanılan bulut hizmeti, kameraları kuran güvenlik firması, uzaktan erişimle makineye bağlanan servis. Her biri ya verinize dokunuyor ya da ağınıza bir kapı açıyor. Kendi güvenlik duvarınızı ne kadar güçlendirirseniz güçlendirin, bu kapılardan biri zayıfsa saldırgan oradan girer.

Tedarikçi riskinde sorun çoğu zaman kötü niyet değil görünmezliktir. Satın alma birimi fiyat ve teslim süresine bakar, bilgi işlem sözleşme imzalandıktan sonra haberdar olur, [KVKK](https://digitalbridge.com.tr/sozluk.html#kvkk) (6698 sayılı Kişisel Verilerin Korunması Kanunu) sorumlusu tedarikçinin hangi veriyi işlediğini bilmez. Yıllar önce kurulmuş bir VPN hesabı, projesi biten bir yazılımcının hâlâ açık yönetici yetkisi ya da kişisel veriyi e-postayla Excel olarak alan bir hizmet sağlayıcı kimsenin listesinde yoktur.

Bu rehber, sizin kendi tedarikçilerinizi değerlendirmeniz üzerinedir; amaç her tedarikçiye aynı yüz soruluk formu göndermek değil, riskli olanı derinlemesine, düşük riskliyi hafif bir kontrolle geçirmektir. Tersi durumda, yani AB müşteriniz size güvenlik anketi gönderdiğinde ne hazırlamanız gerektiğini [NIS2 tedarikçi gereksinimleri](https://digitalbridge.com.tr/blog/nis2-tedarikci-gereksinimleri.html) yazımızda ayrıca anlattık. Tedarikçiyle imzalanacak sözleşmenin maddeleri için de [veri işleyen sözleşmesi rehberimize](https://digitalbridge.com.tr/blog/veri-isleyen-sozlesmesi-kvkk.html) bakabilirsiniz.

## Tedarikçi güvenlik değerlendirmesi yapmamanın bedeli nedir?

Güncel rakamlar tedarikçi kaynaklı riskin istisna olmaktan çıktığını gösteriyor:

> Verizon'un 2026 Data Breach Investigations Report'una göre üçüncü tarafın dahil olduğu ihlaller bir önceki yıla göre %60 artarak tüm ihlallerin %48'ine ulaştı; üçüncü taraf kurumların yalnızca %23'ü bulut hesaplarındaki eksik ya da zayıf çok faktörlü kimlik doğrulama (MFA) sorununu tamamen giderdi. ([Verizon 2026 DBIR](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf))

Türkiye'de tedarikçi riskinin bir de KVKK boyutu var. [Kişisel Verileri Koruma Kurumu 2025 Yılı Faaliyet Raporu](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5ZjMxYTVlZGY0Y2Y.pdf), 2025'te Kuruma yapılan ihbar ve şikâyetlerin 2.838'inin (%22) kişisel verilerin üçüncü kişilerle hukuka aykırı paylaşılmasıyla ilgili olduğunu gösteriyor; bu, hukuka aykırı işlemeden sonra ikinci büyük şikâyet konusu. Üstelik 6698 sayılı Kanun'un 12. maddesine göre veriniz sizin adınıza bir tedarikçi tarafından işleniyorsa, [veri sorumlusu](https://digitalbridge.com.tr/sozluk.html#data-controller) olarak güvenlik tedbirlerinin alınmasından o tedarikçiyle birlikte müştereken sorumlu olursunuz.

Bir veri ihlalinin toplam faturası da küçük değil. [IBM Cost of a Data Breach Report 2026](https://www.ibm.com/reports/data-breach) bir veri ihlalinin küresel ortalama maliyetinin %12 artışla 4,99 milyon dolara çıktığını bildiriyor. Tedarikçide başlayan bir olayda bu maliyetin önemli bölümü yine sizin müşteri bildiriminiz, soruşturmanız ve iş kesintiniz olarak yazılır.

Avrupa Birliği'nde ise bu beklenti NIS2 Direktifi'yle yasal bir yükümlülüğe dönüştü. Direktifin 21(3) maddesi kapsamdaki kuruluşların her doğrudan tedarikçinin kendine özgü zafiyetlerini, ürün kalitesini ve güvenli geliştirme dahil siber güvenlik uygulamalarını dikkate almasını istiyor ([NIS2 Direktifi, EUR-Lex](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022L2555)). Türkiye'deki firmalar direktifin doğrudan kapsamında değil; ancak AB'li müşteriler bu beklentiyi sözleşme ve anketlerle tedarikçilerine yansıttıkça, o müşterilere çalışan firmaların kendi tedarikçilerine de aynı gözle bakması gerekiyor. Güvenlik hizmeti aldığınız firma da bir tedarikçidir; onu seçerken nelere bakılacağını [siber güvenlik firması seçimi](https://digitalbridge.com.tr/blog/siber-guvenlik-firmasi-secimi.html) rehberimizde anlattık.

## Tedarikçi güvenlik değerlendirmesi 6 adımda nasıl yapılır?

Aşağıdaki altı adımlık tedarikçi değerlendirme sırası, sıfırdan başlayan bir kurum için tasarlandı. Her adım bir belge ya da kayıt bırakmalı; çünkü bir denetimde ya da ihlal sonrası incelemede "değerlendirdik" demek değil, bunu gösterebilmek önemlidir.

1. **Tedarikçi envanterini çıkarın.** Muhasebe kayıtlarından ve sözleşmelerden yola çıkarak kime ödeme yaptığınızı listeleyin; ardından her birinin hangi veriye, hangi sisteme, hangi fiziksel alana eriştiğini yazın. [Kişisel veri envanteriniz](https://digitalbridge.com.tr/blog/kisisel-veri-envanteri-hazirlama.html) varsa aktarım alıcıları bölümü hazır bir başlangıçtır.
2. **Risk kademesine ayırın.** Erişilen verinin hassasiyeti, sistem erişiminin derinliği ve tedarikçinin iş sürekliliğinizdeki yerine göre her firmayı kritik, yüksek, orta ya da düşük kademeye koyun.
3. **Kademeye uygun soru seti gönderin.** Düşük kademeye birkaç temel soru yeter; kritik kademe için kimlik yönetimi, yedekleme, olay bildirimi, alt yükleniciler ve veri konumu dahil ayrıntılı bir anket hazırlayın.
4. **Kanıtı doğrulayın.** Yanıtları beyanla bırakmayın: politika belgesi, MFA yapılandırma ekran görüntüsü, son geri yükleme testi kaydı, güncel [sızma testi raporu](https://digitalbridge.com.tr/blog/sizma-testi-nedir.html) özeti ya da geçerli belgeler isteyin. Dışa açık sistemlerinde düzenli [zafiyet taraması](https://digitalbridge.com.tr/blog/zafiyet-taramasi-nedir.html) yapılıp yapılmadığını da sorun.
5. **Bulguları sözleşmeye ve düzeltme planına bağlayın.** Eksikler için tarihli bir düzeltme planı isteyin; olay bildirim süresi, denetim hakkı, alt yüklenici onayı ve ilişki bitince verinin iadesi ya da imhası sözleşmeye yazılsın.
6. **İzleyin ve yeniden değerlendirin.** Kritik tedarikçileri yılda en az bir kez, kapsam değiştiğinde ya da tedarikçide bir olay yaşandığında yeniden gözden geçirin; ilişki bittiğinde hesapları ve erişimleri kapatın.

## Risk kademesine göre tedarikçiye ne sorulmalı? Kontrol tablosu

Risk kademelendirmesi, tedarikçi değerlendirmesinin yükünü taşınabilir kılan adımdır. Aşağıdaki tablo hangi tedarikçiye ne kadar derin bakılacağını, hangi kanıtın isteneceğini ve ne sıklıkla yeniden değerlendirileceğini özetler.

| Kademe | Tipik tedarikçi | Sorulacak konular | Beklenen kanıt | Yeniden değerlendirme |
|---|---|---|---|---|
| Kritik | Bordro/İK hizmeti, barındırma ve bulut sağlayıcı, ERP bakımı yapan yazılım evi | Kimlik yönetimi ve MFA, şifreleme, yedekleme, olay bildirimi, alt yükleniciler, veri konumu | Politika, yapılandırma kanıtı, test kayıtları, belge ya da bağımsız rapor | Yılda en az bir kez |
| Yüksek | Uzaktan bakım yapan makine servisi, CRM/SaaS aracı, çağrı merkezi | Uzaktan erişim yöntemi, hesap yönetimi, kayıt tutma, KVKK rolü | Erişim prosedürü, hesap listesi, sözleşme maddeleri | Yılda bir |
| Orta | Web ajansı, kamera/güvenlik firması, eğitim sağlayıcı | Hangi veriyi nerede tuttuğu, parola ve yönetici hesapları | Kısa anket ve veri işleme beyanı | İki yılda bir veya kapsam değişince |
| Düşük | Kişisel veriye ve sisteme erişmeyen mal tedarikçisi | Erişim olmadığının teyidi | Satın alma kaydındaki beyan | Kapsam değişince |

Tedarikçi soru setini sıfırdan yazmak zorunda değilsiniz. [ISO 27001 Ek A kontrolleri](https://digitalbridge.com.tr/blog/iso-27001-nedir.html) iyi bir iskelet sunar; belgeli bir tedarikçi zaten bu soruların çoğunun cevabını elinde tutar. Belgesiz bir tedarikçiyi otomatik olarak elemek yerine kontrollerin fiilen çalıştığını gösteren kanıta bakmak çoğu zaman daha adil ve daha gerçekçidir.

Kritik kademedeki tedarikçilerde özellikle üç konu sık sorun çıkarır: tedarikçi personelinin sizin sistemlerinize kişisel olmayan ortak hesaplarla bağlanması, [iki adımlı doğrulamanın](https://digitalbridge.com.tr/blog/iki-adimli-dogrulama-mfa.html) yalnızca bazı hesaplarda açık olması ve verinin tedarikçinin kendi alt yüklenicisine, bazen de yurt dışındaki bir sunucuya aktarılması. Son durumda [yurt dışına veri aktarımı kuralları](https://digitalbridge.com.tr/blog/kvkk-yurt-disi-veri-aktarimi.html) da devreye girer.

## Tedarikçi değerlendirmesinde sık yapılan 3 hata

Tedarikçi değerlendirmesinde ilk hata, anketi göndermeyi değerlendirme sanmaktır. Doldurulup dosyalanan ama kimsenin okumadığı bir form, ihlal sonrası incelemede sizi korumaz; aksine bilinen bir riski takip etmediğinizi gösterir. Her yanıt bir sahibe ve bir karara bağlanmalı: kabul, düzeltme planı ya da alternatif tedarikçi.

İkinci hata, tedarikçi değerlendirmesini yalnızca satın alma anına sıkıştırmaktır. Tedarikçinin kapsamı zamanla genişler: başta yalnızca web sitesi yapan ajans, bir gün form verilerini tutan sunucuyu da yönetir hale gelir. Bu nedenle [yazılım projesi yüklenici denetimi](https://digitalbridge.com.tr/blog/yazilim-projesi-yuklenici-denetimi.html) gibi süreç içi kontrol noktaları da değerlendirmenin parçası olmalı.

Üçüncü hata, tedarikçi ilişkisinden çıkışı unutmaktır. Sözleşmesi biten tedarikçinin VPN hesabı, paylaşılan klasör bağlantıları ve bulut yönetici yetkileri çoğu zaman aylarca açık kalır. Harici paylaşımları düzenli gözden geçirmek için [dosya paylaşım yetkilendirmesi](https://digitalbridge.com.tr/blog/dosya-paylasim-yetkilendirme.html) yazımızdaki yaklaşım tedarikçiler için de geçerlidir.

## Digital Bridge'de tedarikçi güvenlik değerlendirmesini nasıl yapıyoruz?

Digital Bridge olarak tedarikçi değerlendirmesine hazır bir anketle değil, keşifle başlıyoruz. [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında muhasebe ve sözleşme kayıtlarından tedarikçi envanterini çıkarıyor, bilgi işlem ile birlikte her tedarikçinin gerçekte hangi hesaba, hangi sunucuya ve hangi uzaktan erişim yoluna sahip olduğunu teknik olarak doğruluyoruz. Kağıttaki liste ile ağdaki gerçek arasındaki fark genellikle ilk bulgudur.

Keşfin ardından kademelendirmeyi ve kademe başına soru setini kurumunuza göre hazırlıyor, birkaç kritik tedarikçiyle pilot bir değerlendirme yapıyoruz. Pilotta hangi soruların gerçekten ayırt edici olduğu, hangilerinin tedarikçiyi yorduğu ortaya çıkar ve set sadeleşir. KVKK tarafında [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) ekibimiz veri işleyen rollerini, sözleşme maddelerini ve aktarım kayıtlarını aynı çalışmaya bağlar.

Bulut hizmeti ya da barındırma sağlayıcısı değerlendirmesinde veri konumu, yedekleme ve çıkış planı ayrıca önemlidir; bu kısımda [bulut geçiş ve altyapı danışmanlığı](https://digitalbridge.com.tr/danismanlik/bulut-gecis-altyapi-danismanligi.html) deneyimimizi kullanıyoruz. Son aşamada tedarikçi değerlendirme takvimini, tedarikçi kayıt dosyasını ve erişim kapatma adımlarını mevcut süreçlerinize entegre ederek ekibinize devrediyoruz. Genel güvenlik tabanınızı da gözden geçirmek isterseniz [KOBİ siber güvenlik kontrol listesi](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) iyi bir başlangıçtır; konunun diğer rehberleri [Siber Güvenlik ve KVKK merkez sayfasında](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) toplu duruyor.

Tedarikçi kayıt dosyası ve toplanan kanıtlar için Digital Bridge'in kendi ürünü [SmartFiles kurumsal dosya yönetimi](https://digitalbridge.com.tr/smart360/smartfiles.html) de kullanılabilir. Bir klasöre uygulanan kontrol listesi, her tedarikçi alt klasöründe hangi belgenin tamam, hangisinin eksik olduğunu gösterir; eksik kanıt, karşı tarafın hesap açmadan yükleyebildiği bir yükleme bağlantısıyla istenir. Dış paylaşım varsayılan olarak kapalıdır; açıldığında bağlantılar 1 ile 30 gün arasında geçerlidir ve her indirme etkinlik geçmişine yazılır.

Yeni bir yazılım ya da hizmet tedarikçisi seçme aşamasındaysanız güvenlik değerlendirme kriterlerini baştan şartnameye yazmak en ucuz yoldur. Bunun için [teknik şartname hazırlama](https://digitalbridge.com.tr/blog/teknik-sartname-hazirlama.html) ve [yazılım firması seçme kriterleri](https://digitalbridge.com.tr/blog/yazilim-firmasi-secerken.html) yazılarımız tamamlayıcıdır. Tüm hizmet alanlarımızı [danışmanlık sayfamızda](https://digitalbridge.com.tr/danismanlik.html) görebilirsiniz.

## Tedarikçi güvenlik değerlendirmesine nereden başlamalı?

Tedarikçi güvenlik değerlendirmesine başlamak için en kritik beş tedarikçinizi ve her birinin eriştiği veriyi tek bir tabloya yazın; çoğu kurum için değerlendirmenin en değerli çıktısı bu ilk tablodur. Kademelendirme, soru seti ya da kanıt doğrulamada destek isterseniz [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli yazılı teklifle paylaşırız.

## Sık Sorulan Sorular

### Tedarikçi güvenlik değerlendirmesi hangi tedarikçiler için yapılmalı?

Kişisel verinize, iş sistemlerinize ya da fiziksel alanınıza erişen her tedarikçi değerlendirme kapsamına girer. Ancak derinlik aynı olmamalı. Bordro hizmeti, bulut sağlayıcı ya da ERP bakımı yapan yazılım evi gibi kritik tedarikçiler ayrıntılı soru seti ve kanıt kontrolünden geçmeli; veriye ve sisteme erişmeyen mal tedarikçileri için erişim olmadığının kısa bir teyidi yeterlidir.

### Tedarikçiye gönderilen güvenlik anketi yeterli mi?

Tek başına yeterli değildir. Anket tedarikçinin beyanını toplar; değerlendirme ise bu beyanın kanıtla desteklenip desteklenmediğine bakar. Kritik tedarikçilerden politika belgesi, MFA yapılandırma kanıtı, yedekten geri yükleme test kaydı ya da bağımsız test raporu istenmeli. Her yanıt da kabul, düzeltme planı veya alternatif tedarikçi gibi somut bir karara bağlanmalıdır.

### KVKK tedarikçi değerlendirmesini zorunlu kılıyor mu?

KVKK "tedarikçi değerlendirmesi" adıyla ayrı bir prosedür tanımlamaz. Ancak veri sorumlusu, kendi adına veri işleyen kişinin aldığı güvenlik tedbirlerinden onunla birlikte sorumludur. Bu nedenle veri işleyen tedarikçinin tedbirlerini sözleşmeden önce incelemek, sözleşmeye bağlamak ve ilişki boyunca izlemek, sorumluluğu yerine getirdiğinizi göstermenin pratik yoludur.

### Tedarikçi güvenlik değerlendirmesinin maliyetini neler belirler?

Maliyeti belirleyen başlıca etkenler tedarikçi sayısı, kritik kademeye düşen tedarikçi oranı, kanıtların uzaktan mı yoksa yerinde mi doğrulanacağı ve mevcut bir tedarikçi envanterinizin olup olmadığıdır. Soru setinin kuruma göre uyarlanması, pilot değerlendirme ve sürecin ekibe devri de kapsamı etkiler. Belgeli tedarikçilerin ağırlıkta olması genellikle işi hafifletir.

### Tedarikçiler ne sıklıkla yeniden değerlendirilmeli?

Sıklığı risk kademesi belirler. Kritik ve yüksek riskli tedarikçileri yılda en az bir kez, orta riskli olanları iki yılda bir gözden geçirmek makul bir başlangıçtır. Takvimden bağımsız olarak tedarikçinin kapsamı genişlediğinde, sahip değiştirdiğinde ya da bir güvenlik olayı yaşadığında değerlendirme hemen yenilenmelidir. İlişki bittiğinde ise hesap ve erişimlerin kapatıldığı kayıt altına alınmalıdır.

### ISO 27001 belgesi olan tedarikçiyi ayrıca değerlendirmek gerekir mi?

Belge güçlü bir göstergedir ama değerlendirmeyi tamamen ortadan kaldırmaz. Önce belgenin kapsamına bakın: sizin aldığınız hizmeti ve ilgili lokasyonu kapsıyor mu? Ardından sözleşmeye özgü konuları, yani olay bildirim süresini, veri konumunu, alt yüklenicileri ve ilişki sonunda verinin iadesini ayrıca sorun. Belgeli tedarikçide değerlendirme genellikle daha kısa sürer.